Home > Informatica > Emotet: l’arma tuttofare dei cybercriminali

Emotet: l’arma tuttofare dei cybercriminali

scritto da: SABMCS | segnala un abuso

Emotet: l’arma tuttofare dei cybercriminali


Nessun’altra famiglia di malware è tanto pervasiva e oggetto di una lunga attività di sviluppo come Emotet, che ha già cagionato milioni di danni in aziende in tutto il globo. G DATA illustra Emotet e perché è così pericoloso.

 
Emotet è uno dei più longevi strumenti impiegati dai professionisti del cybercrimine negli ultimi anni. Scoperto per la prima volta sotto forma di trojan bancario nel 2014, il malware si è evoluto in una soluzione completa per crimini informatici, agendo come grimaldello per aprire porte sui computer preparandoli ad ulteriori infezioni.
 
“Emotet viene sviluppato in modo sistematico e continuativo da anni”, afferma Anton Wendel, Security Engineer presso G DATA Advanced Analytics. “Ci sono giorni in cui rileviamo fino a 200 nuove varianti di Emotet, uno sviluppo rapidissimo, indice del costante tentativo dei cybercriminali di rendere il malware meno riconoscibile per le soluzioni antivirus”. Le analisi condotte da Wendel mostrano che persino nelle giornate più tranquille vengono prodotte almeno 25 nuove versioni di questo malware. Minacce bloccate con successo da G DATA con la sua nuova tecnologia DeepRay basata sull’intelligenza artificiale.
 
Diffusione tramite documenti Word
A differenza di altri malware, Emotet non viene distribuito tramite exploit kit o browserweb. Di norma il malware raggiunge i computer delle vittime tramite allegati mail infetti in formato word. I criminali cercano di inviare messaggi sempre diversi ai malcapitati per fargli attivare, con trucchi adeguati, il contenuto attivo del documento, in genere macro. L’infezione è quindi cagionata in massima parte dall’utente invogliato da cybercriminali nella maniera più creativa a cliccare sul pulsante “attiva contenuto attivo”. A volte, ad esempio, il messaggio menziona che il documento è stato creato con una versione di Office online o segnala problemi di compatibilità.
 
“Per le aziende proteggersi contro le infezioni da Emotet dovrebbe essere un gioco da ragazzi”, commenta Wendel. “L’esecuzione di macro può essere interamente disabilitata impiegando un’adeguata policy di gruppo. Ove l’uso di macro fosse essenziale per l’operatività aziendale, sarebbe opportuno firmare le macro di propria produzione e consentire l’esecuzione delle sole macro firmate”. I consumatori invece non hanno alcuna necessità di utilizzare le macro, quindi – apparentemente – non ci sarebbe alcun motivo per attivarle.

Emotet, un vero tuttofare?
Emotet è dotato di ampie funzionalità di spionaggio. Trasferisce ai criminali informazioni sui processi attivi sui computer, traendone importanti conclusioni sull’uso del PC – tra cui, ad esempio, se vi è installato un software per la contabilità. Emotet integra altresì numerosi moduli attivabili da remoto. Da notare tuttavia, che non tutte le funzioni menzionate qui di seguito sono eseguite su ogni computer infetto. Il server di comando e controllo decide autonomamente quali moduli attivare.
 
Furto delle credenziali
Usando il software di Nirsoft, Emotet è in grado di copiare le password archiviate sul computer. Tra queste soprattutto le credenziali presenti in Outlook o Thunderbird, come anche qualunque password memorizzata nel browser. L’uso di un password manager esterno offre un maggior livello di sicurezza.
 
Un altro modulo Emotet distribuisce spam, che però non consta dei tipici messaggi su medicinali o potenziatori sessuali. Il malware abusa delle risorse del computer infetto per continuare la campagna di diffusione.  In questo frangente Emotet è una vera e propria soluzione chiavi in mano. Avendo accesso alla rubrica dei contatti, i cybercriminali possono ricostruire la rete di relazioni dell’utente e inviare agli interlocutori messaggi individuali. Per farlo Emotet si avvale dell’interfaccia per la programmazione di applicazioni di messaggistica (MAPI – Messaging Application Programming Interface).
 
Queste funzioni vengono caricate come modulo nello stesso processo di infezione Emotet e sono eseguite senza salvare alcun file sul disco rigido. Una tattica che ne rende ancora più difficile il rilevamento. In poche parole, Emotet impiega per i suoi moduli la stessa strategia dei malware file-less. Una volta installato il modulo, il codice viene rimosso dalla memoria per evitare qualsiasi analisi.
 
Attraverso una componente worm, Emotet è anche in grado di diffondersi su altri computer all’interno di una rete senza che alcun utente debba cliccare su un allegato per attivarlo, impiegando il protocollo SMB (Server Message Block), utilizzato anche da WannaCry per infettare centinaia di migliaia di sistemi in tutto il mondo. Tuttavia, WannaCry sfruttava ulteriori vulnerabilità di Windows per diffondersi.
 
Il malware legge anche i token di accesso alla memoria locale di Windows e li usa per loggarsi su altri computer. Se l’utente di un sistema infetto dispone di privilegi elevati – ad esempio di un accesso amministratore alle risorse di rete – l’attacco si rivela particolarmente efficace.
 
Emotet può essere anche configurato in modo da eseguire attacchi “brute force” contro specifici account utilizzando le credenziali di accesso archiviate sul computer ed è anche in grado di implementare un server proxy sui sistemi infetti per camuffare al meglio le proprie attività come la propria infrastruttura di comando e controllo, bypassando in questo modo anche eventuali blocchi esistenti su range di indirizzi IP utilizzati dalla propria infrastruttura.
 
Codici binari al posto dei processi
Oltre ai moduli citati qui sopra, Emotet può anche scaricare in un secondo momento malware classici, di norma trojan bancari come Zeus Panda, Corebot, Trickbot or Gozi. Di recente però si riporta sempre più frequentemente che Emotet scarichi sul PC anche ransomware come Ryuk attivandoli solo a posteriori di un’analisi approfondita dei sistemi aziendali. Ciò presuppone che i cybercriminali raccolgano tramite Emotet anche informazioni per determinare se valga la pena condurre ulteriori attacchi al o tramite il sistema infetto e quanto elevato dovrà essere il riscatto per non risultare troppo oneroso per le vittime.

Fonte notizia: https://sabcommunications.net/it/emotet-arma-tuttofare/


G DATA | cybersecurity | sicurezza informatica | Emotet | malware |



Commenta l'articolo

 

Potrebbe anche interessarti

Il Trojan bancario Emotet torna a colpire: avviata una nuova campagna di spam su larga scala


L’era del Machine Learning nella cybersecurity: un passo verso un mondo più sicuro o verso l’orlo del precipizio?


Emotet – L’analisi ESET dell’ultima campagna


Un 2019 all’insegna del camouflage: le previsioni di G DATA


Fortinet: i trend globali relativi alle minacce informatiche mettono in luce intenti politici ed economici dei cybercriminali


Le previsioni di G DATA per il 2018: i cybercriminali puntano a Bitcon & Co.


 

Se ritieni meritevole il nostro lavoro fai una donazione


Recenti

Stesso autore

Un anno di cambiamenti: Gestione delle risorse umane nonostante e alla luce della crisi sanitaria

Un anno di cambiamenti: Gestione delle risorse umane nonostante e alla luce della crisi sanitaria
Le misure adottate in tutto il mondo per contenere la pandemia hanno generato enormi cambiamenti anche nell’ambito delle risorse umane. Tuttavia, un ritorno ai vecchi schemi non è più concepibile e nemmeno voluto. Una relazione sulla gestione delle risorse umane 2021. Berlino | La lotta contro il coronavirus non ha avuto solo conseguenze macroeconomiche negli ultimi 18 mesi. In tutte le organizzazioni di tutte le dimensioni e in tutti i settori, sono state adottate le più svariate misure per evitare il contagio, in conformità con le normative in vigore nei diversi Stati. Questo è stato un periodo molto impegnativo, specialmente per le aziende con sedi dislocate (continua)

Snom: quando il telefono IP fa risparmiare tempo per salvare vite

Snom: quando il telefono IP fa risparmiare tempo per salvare vite
Negli ospedali la corsa contro il tempo è una circostanza quotidiana, soprattutto in strutture sanitarie spesso sotto pressione. Snom evidenzia i vantaggi che scaturiscono dall'ottimizzazione della comunicazione ospedaliera. Berlino - Un trattamento ottimale può essere garantito solo in condizioni ottimali. Nelle strutture sanitarie questo principio andrebbe applicato non solo alle condizioni di lavoro del personale infermieristico ma anche alle attrezzature di lavoro.La digitalizzazione del sistema sanitario promossa dai governi di tutta l’Unione Europea dall'inizio del 2000 non può prescindere dal rinnovamento dell' (continua)

Quando il progresso scaturisce dall’integrazione: Con Snom l'asset tracking diventa parte integrante dell'infrastruttura per le telecomunicazioni

Quando il progresso scaturisce dall’integrazione: Con Snom l'asset tracking diventa parte integrante dell'infrastruttura per le telecomunicazioni
Nonostante l'uso di moderne infrastrutture VoIP, le aziende beneficiano solo in minima parte dell'impareggiabile potenziale di ottimizzazione derivante dall'integrazione di telecomunicazioni, IT e OT. Con la sua tecnologia Beacon, Snom porta sul mercato le sue ultimissime innovazioni nell’ambito dell’integrazione di soluzioni per la localizzazione precisa (al metro), protezione antifurto e chiamate di emergenza. Berlino | Quando si tratta di telecomunicazioni IP professionali, i clienti che non vogliono scendere a compromessi in merito alla robustezza e versatilità dei terminali si rivolgono volentieri a Snom. Il marchio premium su scala globale per la moderna telefonia IP nelle aziende e nell'industria fa leva sulle sue potenti soluzioni DECT per la telefonia VoIP cordless professionale e molto altro: co (continua)

Quando la moderna telefonia addolcisce le vacanze

Quando la moderna telefonia addolcisce le vacanze
Gradualmente per molti inizia la pianificazione delle vacanze. Grazie alle attuali regolamentazioni è possibile spostarsi a tale scopo sia all'interno del proprio Paese si all’estero. A fronte di un anno in cui i più hanno rinunciato a viaggiare, molti vorrebbero coglierne l'opportunità questa estate. Ora più che mai, l’implementazione di buone misure igieniche da parte dell’hotel dove si soggiorna è garante di una vacanza spensierata. Dopo tutto, le ferie sono fatte per rilassarsi e sfuggire alla vita quotidiana. Berlino | Nel corso dello scorso anno l'industria alberghiera ha dovuto sopportare misure draconiane. Poter finalmente riaprire per la stagione estiva è quindi ancora più gratificante, ma per  soddisfare al meglio le esigenze dei clienti, sono necessari strumenti efficaci che supportino l’erogazione di servizi discreti e affidabili.Snom, marchio premium di caratura globale per la moderna tele (continua)

La chiave del successo di ogni teleconferenza? La qualità dell'audio

La chiave del successo di ogni teleconferenza? La qualità dell'audio
Snom ha ottimizzato la sua soluzione per teleconferenze C520-WiMi. Il nuovo sistema può facilmente competere con dispositivi molto più costosi di terzi. Berlino, 8 giugno 2021. Con la soluzione per teleconferenze C520-WiMi, lanciata sul mercato nella primavera del 2019, Snom, marchio premium di caratura globale per la moderna telefonia IP, offriva un dispositivo per conferenze potente e appetibile per le PMI e per le sempre più utilizzate huddle room.Con la pandemia, l’impiego quotidiano del C520-WiMi né ha palesato i numerosi vantaggi in maniera (continua)